Die drei Consent-Phasen: So testest du ein Cookie-Banner richtig
Praxis
Kurz gesagt
Vor der Einwilligung, nach Ablehnen, nach Akzeptieren
Ein Cookie-Banner lässt sich nicht durch Ansehen prüfen, sondern nur durch Messen – und zwar in drei Zuständen: vor jeder Interaktion, nach dem Klick auf „Ablehnen" und nach dem Klick auf „Akzeptieren". Erst der Vergleich dieser drei Phasen zeigt, ob das Banner das Tracking tatsächlich steuert oder nur eine Auswahl abfragt, die technisch folgenlos bleibt.
Warum ein einzelner Blick nicht reicht
Die häufigste Prüfung in der Praxis lautet: Seite aufrufen, Banner sehen, Häkchen prüfen, fertig. Das misst allerdings nur die Oberfläche. Ob Skripte blockiert werden, entscheidet sich in drei verschiedenen Zuständen der Seite – und Fehler treten in jedem dieser Zustände anders zutage. Ein Setup kann nach dem Akzeptieren völlig korrekt arbeiten und trotzdem schon vor dem ersten Klick Cookies gesetzt haben.
Phase 1: Vor der Interaktion
Die Seite ist geladen, es wurde noch nichts geklickt. Diese Phase ist die aussagekräftigste.
Was hier gesetzt werden darf: Nur, was für den Betrieb der Seite unbedingt erforderlich ist – Session-Cookies, Lastverteilung, CSRF-Schutz, gegebenenfalls das Cookie des Consent-Tools selbst.
Was ein Warnsignal ist: Cookies von google-analytics.com, doubleclick.net, facebook.com oder tiktok.com; Erstanbieter-Cookies mit Analyse-typischen Namen wie _ga, _gid, _fbp oder _clck; Cookies mit Laufzeiten von mehreren Monaten oder Jahren.
Typische Ursache: Ein Skript liegt fest im Template und wird vom Consent-Tool nicht erfasst, oder der Tag Manager feuert Tags ohne Consent-Bedingung. Was hier auftaucht, ist ohne jede Einwilligung passiert – deshalb wiegt ein Fund in Phase 1 schwerer als in jeder anderen.
Wichtig für die Messung: Reine Netzwerkanfragen zählen mit. Auch ohne gesetztes Cookie wird bei einer Anfrage an einen Drittanbieter bereits die IP-Adresse übertragen.
Phase 2: Nach dem Klick auf „Ablehnen"
Hier zeigt sich, ob die Auswahl technisch umgesetzt wird. Nach dem Ablehnen sollte kein zusätzliches nicht-notwendiges Cookie hinzukommen – und die in Phase 1 gesetzten sollten verschwunden sein.
Drei Fehlerbilder sind typisch:
- Nichts ändert sich. Die Ablehnung wird gespeichert, blockiert aber nichts. Häufig bei fest eingebundenen Skripten.
- Es kommt sogar etwas dazu. Nachgeladene Inhalte – Videoeinbettungen, Chat-Widgets, Bewertungssiegel – ignorieren den Consent-Status.
- Es ändert sich erst nach dem Neuladen. Wer ablehnt und weiterliest, wird bis zum nächsten Seitenaufruf weiter erfasst.
Ein Sonderfall ist der Google Consent Mode: Steht analytics_storage auf denied, setzt Google Analytics keine Cookies mehr, sendet aber weiterhin cookielose Pings. Wer nur auf Cookies schaut, sieht ein sauberes Ergebnis und übersieht die fortbestehende Datenübertragung. Deshalb gehören Netzwerkanfragen mit in die Prüfung.
Phase 3: Nach dem Klick auf „Akzeptieren"
Diese Phase prüft nicht, ob zu viel passiert – hier ist ja alles erlaubt –, sondern ob die Dokumentation vollständig ist. Sie liefert die Referenzliste: Alles, was hier gesetzt wird, gehört mit Anbieter, Zweck und Laufzeit in die Cookie-Erklärung und in die Datenschutzerklärung.
Was auffällt: Cookies, die weder im Consent-Tool noch in der Datenschutzerklärung auftauchen. Das sind meist Altlasten aus früheren Kampagnen, vergessene Test-Pixel oder Einbindungen, die eine Agentur oder ein einzelner Mitarbeiter nachträglich gesetzt hat.
Ein zweiter, oft übersehener Punkt: Wenn nach dem Akzeptieren deutlich weniger passiert als erwartet, ist womöglich das Tracking selbst kaputt – dann fehlen im Reporting Daten, ohne dass es jemand merkt.
Warum die Startseite als Prüfumfang nicht genügt
Consent-Fehler verteilen sich ungleich über eine Website. Überdurchschnittlich häufig treten sie auf:
- Kampagnen-Landingpages, die außerhalb des normalen Templates gebaut wurden
- Blogartikel mit eingebetteten YouTube-Videos oder Kartenausschnitten
- Kontakt- und Buchungsseiten mit reCAPTCHA, Terminbuchung oder Chat
- Checkout- und Formularstrecken mit zusätzlichen Zahlungs- oder Conversion-Skripten
- Seiten mit URL-Parametern aus Kampagnen, die zusätzliche Skripte aktivieren
Die Startseite ist meist die am besten gepflegte Seite der ganzen Domain – und damit die am wenigsten repräsentative.
Der Test als reproduzierbarer Ablauf
Damit ein Ergebnis belastbar ist, muss der Test unter kontrollierten Bedingungen laufen:
- Frisches Browserprofil oder Inkognito-Fenster – sonst verfälschen alte Cookies das Bild.
- Keine Ad-Blocker oder Tracking-Schutz-Erweiterungen aktiv.
- Phase 1 messen, bevor irgendetwas geklickt wird, inklusive Netzwerkanfragen.
- Ablehnen, erneut messen – und einmal neu laden, um den verzögerten Fall zu erkennen.
- Profil zurücksetzen, Seite neu laden, akzeptieren, messen.
- Ablauf auf mindestens fünf typischen Unterseiten wiederholen.
- Ergebnis mit Datum dokumentieren – nach jedem Relaunch, Plugin-Update oder neuen Kampagnen-Tag wiederholen.
Genau an Schritt 6 und 7 scheitert die manuelle Prüfung im Alltag: Sie ist reproduzierbar möglich, aber zu aufwendig, um sie regelmäßig durchzuführen.
Automatisierte Prüfung mit Cookienator
Cookienator bildet exakt diesen Ablauf automatisiert ab. Jede Seite wird in einem echten Headless-Chrome geladen, der Scanner klickt den Banner selbst und vergleicht die drei Phasen. Erfasst werden alle Cookies mit Kategorie, Herkunft (Erst- oder Drittanbieter) und Laufzeit sowie Anfragen an bekannte Analyse- und Marketing-Anbieter. Am Ende steht ein eindeutiges Prüfergebnis: Bestanden, Prüfen oder Verstoß – je nachdem, ob vor der Einwilligung oder trotz Ablehnen Tracking-Cookies gesetzt wurden. Ab dem Pro-Tarif folgt der Scanner internen Links und prüft damit auch die Seitentypen, auf denen die Fehler tatsächlich sitzen – und er wiederholt die Prüfung automatisch, statt auf einen manuellen Start zu warten. Ändert sich das Ergebnis, bekommst du eine Benachrichtigung. Damit löst das Tool genau den Punkt, an dem die manuelle Prüfung im Alltag scheitert: nicht die einzelne Messung, sondern ihre Wiederholung.
FAQ
Häufige Fragen
Sie bilden ab, wie ein echter Besucher mit einem Cookie-Banner umgeht: vor der Einwilligung (Seite geladen, nichts geklickt), nach dem Ablehnen und nach dem Zustimmen. Der Vergleich zeigt, ob das Banner das Tracking wirklich steuert.
Phase 1. Werden schon vor jeder Interaktion nicht-notwendige Cookies gesetzt, hatte die Besucherin keinerlei Wahl – dieser Befund wiegt am schwersten.
Ja, für eine einzelne Seite. Unter Application → Cookies siehst du die gesetzten Cookies, unter Network die Anfragen an Drittanbieter. Aufwendig wird es bei mehreren Seiten und bei Wiederholungen nach jedem Deployment.
Nach jedem Relaunch, nach Änderungen am Tag Manager, nach neuen Einbettungen und nach Plugin-Updates – bei aktiv gepflegten Seiten also eher monatlich als jährlich. Weil sich diese Anlässe schlecht planen lassen, ist eine automatische Wiederholungsprüfung mit Benachrichtigung in der Praxis verlässlicher als ein Termin im Kalender.
Nachgekaut